Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Triage the braces stack-exhaustion advisory and set the dismissal bar

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#339 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 2 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
78/100
Loại issue
Tài liệu
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
typescript
Lĩnh vực
documentation, security

Hướng nghiên cứu

Bắt đầu bằng cách xem lại các cảnh báo Dependabot cho [email protected], vấn đề lockfile trùng lặp được theo dõi trong #337 và chính sách hiện tại trong TRIAGE.md. Xác minh rằng các glob của kho lưu trữ chỉ nhận các đường dẫn do maintainer kiểm soát, sau đó ghi lại quyết định xử lý cảnh báo và điều kiện mở lại cảnh báo trong TRIAGE.md, đồng thời ghi lại ai có thể bỏ qua cảnh báo và các mã lý do được chấp nhận. Hoàn thành có nghĩa là các cảnh báo về lockfile trùng lặp đã được đóng, cảnh báo 259 đã được ghi nhận là bỏ qua hoặc có biện pháp giảm thiểu và các yêu cầu bỏ qua cảnh báo đã được ghi lại.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Medium Priority Security vulnerabilities

Problem statement

Three high-severity Dependabot alerts are open, and none of them has a fix available.

Alert Package Advisory Manifest Vulnerable range First patched
259 braces CVE-2026-93687 / GHSA-vfj7-8cjw-p6xm website/package-lock.json <= 3.0.3 none
260 braces CVE-2026-93687 / GHSA-vfj7-8cjw-p6xm website/yarn.lock <= 3.0.3 none
261 node-forge CVE-2026-85393 / GHSA-86w9-cpqp-85rv website/yarn.lock <= 1.4.0 none

This is one real finding and two duplicates. Alerts 260 and 261 point at website/yarn.lock, a lockfile CI never installs from, and both disappear once the duplicate lockfile is removed. That work is tracked in #337; until it lands, the Security tab shows 3 where the codebase has 1.

The remaining finding is [email protected], pulled in by @docusaurus/core through @docusaurus/utils → [email protected] and [email protected]. It is a stack-exhaustion denial of service triggered by a deeply nested brace pattern. In this repo the patterns come from Docusaurus's own file walk over maintainer-controlled paths, not from contributor or visitor input, and it runs at build time.

With no patched version published, the only options are to dismiss with a recorded reason or to leave the tab permanently red.

Proposed solution

  1. Land the lockfile consolidation first, which closes 260 and 261.
  2. Dismiss 259 as tolerable risk, with a comment that records why (build-time glob over maintainer-controlled paths) and what reopens it (a patched braces release). Verify first that nothing in the repo feeds user or contributor input into a glob; if something does, this reasoning is wrong and the finding needs a real mitigation.
  3. Add a short "Security alerts and dismissal" section to TRIAGE.md: who may dismiss, which reason codes are acceptable, and that a dismissal requires a comment naming the condition that reopens it.

Scope and impact

No code change beyond documentation. The risk to avoid is a silent dismissal, which is indistinguishable from silencing an alert; the comment requirement is the point of the exercise.

Acceptance criteria:

  • Alerts 260 and 261 are closed by the lockfile work
  • Alert 259 is either dismissed with a recorded reason or has a documented mitigation
  • TRIAGE.md states the dismissal bar
Ngôn ngữ chính
TypeScript
Star
13
Fork
23
Merge trung bình
2 ngày 18 giờ
Pull request đã merge (30 ngày)
17

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của IntersectMBO/developer-experience

Tất cả issue của IntersectMBO/developer-experience

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.